SaaS-Vorteile auf Kosten der Datensicherheit?
Autorin/Redakteur: Angela Heindl-Schober, SVP, Global Marketing bei HYCU/gg
Cloud-basierte SaaS-Anwendungen – als zeitgemäße Form der Softwarenutzung – werden in Unternehmen immer häufiger eingesetzt. Software as a Service ist kostengünstig, schnell verfügbar und flexibel. Unternehmen übersehen dabei oft die Frage, ob diese SaaS-Anwendungen und die damit verbundenen Daten geschützt und sicher sind.
Wenn ein Unternehmen SaaS-Anwendungen (Software as a Service) nutzt, sind die SaaS-Anbieter, ähnlich wie Cloud-Anbieter, für den Dienst und dessen Verfügbarkeit verantwortlich. Die Verantwortung für die Sicherung und den Schutz der Daten liegt aber bei den Nutzern der SaaS-Anwendungen. Viele Unternehmen sind sich nicht bewusst, dass SaaS-Serviceprovider wie die traditionellen Cloudprovider ihre Geschäftsbeziehung auf dieses Modell der geteilten Verantwortung stützen. Der Dienstanbieter ist für die Sicherheit der Infrastruktur und des Dienstes selbst verantwortlich, aber nicht für die Backups. Wenn es zu einem Datenverlust kommt, müssen die Unternehmen die Wiederherstellung der Daten übernehmen, nicht der Dienstanbieter.
Besorgniserregende Statistiken verdeutlichen den Handlungsbedarf
Laut der aktuellen Odaseva-Studie „The State of SaaS Ransomware Attack Preparedness“ erfolgen mehr als die Hälfte der erfolgreichen Ransomware-Angriffe über SaaS-Implementierungen. Cybersecurity Ventures prognostiziert, dass Ransomware die Opfer bis 2031 jährlich 265 Milliarden US-Dollar kosten wird und dass alle zwei Sekunden ein Unternehmen, ein Verbraucher oder ein Gerät angegriffen wird.
Unternehmen, die nicht in der Lage sind, verschlüsselte oder gelöschte Daten wiederherzustellen, riskieren den Verlust erheblicher Geldbeträge. In einem solchen Fall können die Unternehmen eine Woche, zwei Wochen oder sogar einen Monat lang nicht arbeiten. Nach Angaben von Statista betrug die durchschnittliche Ausfallzeit aufgrund von Ransomware kürzlich 24 Tage. Dies wirft die Frage auf, ob sich die Denkweise der Unternehmen ändern muss. Allerdings bieten weniger als zehn der führenden Anbieter von Backup- und Recovery-Software, die in einem jährlichen Bericht führender Branchenanalysten genannt werden, Backup- und Recovery-Funktionen auf Enterprise-Niveau an. Von den 30.000 verfügbaren SaaS-Anwendungen verfügen viele über keine Datensicherung. Dies kann schnell zu massiven Datenverlusten führen.
Neben Ransomware stellen derzeit Insiderangriffe die größte Bedrohung für den Schutz und die Sicherheit von SaaS-Daten dar. Unbeabsichtigte und gewöhnliche menschliche Fehler sind immer noch die am häufigsten vorkommenden Ereignisse in jedem Unternehmen. Es ist jedoch nicht so einfach, die Daten unter Kontrolle zu halten, um sie zu sichern und zu schützen, da Unternehmen immer mehr SaaS-Anwendungen nutzen. Nach Schätzungen von HYCU nutzt ein durchschnittliches mittelständisches Unternehmen heute mehr als 250 SaaS-Anwendungen, und die Zahl der verwendeten SaaS-Anwendungen steigt ständig. Es ist auch wichtig, nicht autorisierte Anwendungen zu berücksichtigen, die Teil der Schatten-IT sind und eine zusätzliche ernsthafte Bedrohung in der SaaS-Umgebung darstellen. Benutzer können oft ihre eigenen Anwendungen installieren, Daten austauschen und andere Aktivitäten außerhalb des IT-Betriebs und ohne Wissen der Sicherheitsverantwortlichen durchführen.
SaaS macht Unternehmen anfälliger
Die Installation und Nutzung von Drittanbieter-Anwendungen in der SaaS-Umgebung ermöglicht es Unternehmen auch, bestehende Funktionen zu erweitern. Aufforderungen zur Anwendungsinstallation per E-Mail oder die Integration von Browser-Plugins bieten Angreifern einfache Möglichkeiten, eine SaaS-Umgebung zu kompromittieren. Bösartige Anwendungen können bösartigen Code in die Cloud einschleusen. Daher ist es wichtig, zu kontrollieren, welche Anwendungen die Benutzer installieren und auf welche geschäftskritischen SaaS-Daten sie zugreifen können. Sie können auch einschränken, welche SaaS-Anwendungen installiert werden.
In jedem Fall erleichtern SaaS-Plattformen die Zusammenarbeit, die gemeinsame Nutzung von Daten und die Entwicklung über mehrere Standorte hinweg. Unternehmen müssen jedoch ein Gleichgewicht zwischen diesen Vorteilen und der Datensicherheit finden, auch im Hinblick auf Vorschriften wie NIS2 und die DSGVO. Da Unternehmen immer mehr ihrer kritischen Daten Drittanbieter-Anwendungen anvertrauen, müssen sie verstärkt darauf achten, diese Daten vor Malware, Sicherheitsvorfällen, Verlust und unbefugtem Zugriff zu schützen, da sie durch unkontrollierte SaaS-Nutzung noch anfälliger werden. Angesichts der neuen Vorschriften müssen Unternehmen nun den Datenschutz für SaaS-Anwendungen validieren und darüber Bericht erstatten, sonst drohen erhebliche Geldstrafen.
Vollständiger Überblick und zentrales Echtzeit-Management sind notwendig
Generell nimmt das Datenwachstum weiterhin exponentiell zu, und die Entstehung und weitere Nutzung von SaaS wird zu einer großen Herausforderung. Ein weitaus größeres Problem ist die Anzahl der Orte, an denen sich diese Daten befinden. Es muss einen besseren Weg geben, um den Datenschutz zu gewährleisten, ohne ständig zusätzliche Produkte oder einzelne punktuelle Lösungen hinzuzufügen. Seit dem Durchbruch der Cloud hat kein Unternehmen mehr alle seine Daten an einem Ort. Teile der Daten befinden sich in der On-Premises-Umgebung oder in der Hybrid- beziehungsweise Multi-Cloud. Aus diesem Grund ist eine zentrale Verwaltung für den Schutz der Daten an so vielen Standorten entscheidend.
Am effektivsten ist eine Low-Code-Plattform für die schnelle Freigabe von Backup- und Recovery-Diensten für SaaS-Anwendungen, um Datenverluste, beispielsweise durch einen Ransomware-Angriff, ohne größere Folgen zu überstehen. Ein weiteres Element ist eine bessere Datenvisualisierung, um einen vollständigen Überblick über die geschützten und ungeschützten SaaS-Dienste zu erhalten und sie zu kategorisieren. Sicherheitsverantwortliche müssen wissen, wo sich alle Daten befinden, diese Daten schützen und sie in Echtzeit auf möglichst nahtlose Weise verwalten.
Unternehmen haben ihre SaaS-Workloads mit der gleichen Intensität und Gründlichkeit zu schützen, wie sie es mit ihren lokalen und Cloud-Umgebungen tun. Bei SaaS können Unternehmen rund um die Uhr gefährdet sein. Dies gilt unabhängig davon, ob es sich um böswillige Aktivitäten, Ransomware oder die versehentliche falsche Handhabung oder Löschung von Daten durch Mitarbeiter handelt. Eine gezielte Sicherung und Wiederherstellung ist in einer SaaS-Umgebung unerlässlich.
Ein neuer Ansatz zum Schutz von SaaS-Daten macht den Unterschied
Den Unternehmen fehlen Zeit, Geld und Ressourcen, um die Dutzende oder Hunderte von SaaS-Anwendungen zu schützen, die in der Regel im Einsatz sind, plus andere Cloud-Dienste, Microservices und die zunehmende Nutzung von KI-Anwendungen. Stattdessen wird eine integrierte Umgebung benötigt, die sich in die Plattformen der SaaS-Anbieter einfügt und gleichzeitig Ausfallsicherheit und Datensicherheit gewährleistet. Unabhängig davon, wo die Daten gespeichert sind, müssen Unternehmen in der Lage sein, die Daten bei Bedarf schnell wiederherzustellen.
Da die Nutzungszahlen von SaaS-Anwendungen weiterhin sprunghaft ansteigen, ist ein Überdenken der Sicherheitsstrategien unerlässlich. Unternehmen müssen sich von traditionellen Sicherheits- und Backup-Methoden verabschieden und einen umfassenden Echtzeit-Datenschutz anstreben, der die vielfältige und weitläufige SaaS-Landschaft abdeckt. Auf diese Weise können sie die Geschäftskontinuität und Widerstandsfähigkeit angesichts der sich ständig weiterentwickelnden Cyberbedrohungslandschaft gewährleisten.
